Ein Schraubendreher, ein Multimeter und ein USB-Adapter für wenige Euro. Mehr brauchte es nicht, um auf einem zertifizierten Industrie-Gateway Root-Rechte zu erlangen.
Das war einer von zwei Momenten, die beim Cyber Security Meetup am 26. August 2026 im RHEINHUB für Stille im Raum sorgten. Der Cyber Security Cluster Bonn e.V. veranstaltet das Meetup gemeinsam mit dem DIGITALHUB.DE. Zwei Vorträge, zwei Perspektiven auf dieselbe Frage: Woran merkt man eigentlich, dass jemand im eigenen Netzwerk unterwegs ist, der dort nichts zu suchen hat?
Tobias Schlattmann von der Cybersense GmbH begann mit einer unbequemen Feststellung: Meistens merkt man es gar nicht.
Nicht, weil die Sicherheitstechnik versagt, sondern weil sie zu viel meldet. Tausend Alarme am Tag, von denen 999 Fehlalarme sind. Irgendwann klickt auch ein gutes Security Operations Center den tausendsten weg. Und genau der war echt.
Vier reale Vorfälle brachte er mit: einen Angriff, den das interne SOC während eines laufenden AD-Migrationsprojekts übersah. Einen Angriff, der im Homeoffice am Firmenproxy vorbeilief. Wochenlange Angriffswellen auf eine Hochschule, getarnt durch DDoS-Rauschen. Und einen Zero-Day-Exploit auf einer MDM-Appliance, auf der sich technisch bedingt gar keine Überwachungssoftware installieren ließ.
Cybersense dreht dafür die Perspektive um. Neben die produktiven Systeme werden Decoys gestellt, also Attrappen. Ein Fileserver, ein Backupserver, eine Datenbank, ein SAP-Server. Echte Betriebssysteme, echte Dienste, echte Ports, aber ohne jede produktive Aufgabe im Unternehmen. Kein Mitarbeitender hat dort etwas zu suchen.
Auf den produktiven Clients liegen zusätzlich Lures und Traps: unauffällig ausgestreute Informationen und Zugangsdaten, die genau zu diesen Decoys führen. Ein Angreifer, der frisch in ein fremdes Netzwerk gelangt ist, muss sich zuerst orientieren. Er sucht mit Werkzeugen wie Mimikatz oder BloodHound nach Anmeldedaten und lohnenden Zielen. Und greift zu.
In diesem Moment steht der Alarm. Nicht als Wahrscheinlichkeit, sondern als Tatsache. Im Fall der MDM-Appliance reichten vier Netzwerkpakete, um den Angriff zu erkennen. Cybersense war das einzige System, das anschlug. Der Vorfall wurde an das BSI gemeldet.
Danach wechselte Marcel Rick-Cen von FOXGRID Industrial die Welt: raus aus der Büro-IT, hinein in die Operational Technology, also in die Technik, die Maschinen und Anlagen steuert.
Sein Untersuchungsobjekt war ein OT-Remote-Access-Gateway, über das Servicetechniker weltweit aus der Ferne auf Maschinen zugreifen. Ein etabliertes Produkt, zertifiziert nach IEC 62443-4-1 und IEC 62443-4-2, also mit Brief und Siegel für sichere Produktentwicklung.
Sein Werkzeugkasten kostete rund 30 Euro: ein Multimeter, Schraubendreher und Hebelwerkzeug, ein USB-UART-Adapter und ein einfacher Logic Analyzer.
Der Weg zum Root-Zugriff führte in sechs Schritten über die Hardware. Gehäuse öffnen, die Bauteile auf der Platine identifizieren, mit dem Multimeter die Debug-Kontakte finden, über die der Prozessor beim Hochfahren mit sich selbst spricht, das Signal mitlesen, in die Boot-Konsole gelangen und von dort Administratorrechte übernehmen.
Kein Exploit, keine Hintertür, keine bekannte Schwachstelle aus einer Datenbank. Wer physischen Zugang zu einem Gerät hat, hört einfach dort zu, wo niemand mit Zuhörern gerechnet hat. Genau deshalb ist physische Sicherheit in OT-Umgebungen kein Nebenschauplatz.
Der Abend hat gezeigt, wie unterschiedlich beide Welten auf Sicherheit blicken. In der IT geht es um Erkennung im laufenden Betrieb, um Verweildauer im Netz und darum, einen Angreifer zu finden, bevor er zuschlägt. In der OT geht es um Geräte mit langen Lebenszyklen, um Zertifizierungen und um die Frage, was jemand erreichen kann, der einfach danebensteht.
Beide Blicke braucht es. Und genau dafür gibt es dieses Meetup.
Nach den Vorträgen blieb reichlich Zeit für Fragen, Diskussionen und Networking. Der Abend klang bei Pizza und Getränken auf der Dachterrasse über dem Rhein aus.
Ein herzlicher Dank geht an Martin Böhne für die Moderation, an Alena von Roeder vom DIGITALHUB.DE für die Unterstützung vor Ort, an Tobias Nagel von Cybersense sowie an alle Teilnehmenden und Gäste, darunter Frédéric Noppe von der l3montree Cybersecurity GmbH.
Folgt uns auf unseren Social-Media-Kanälen und verpasst keine Neuigkeiten rund um den Cyber Security Cluster Bonn e.V.
